Herramientas de seguridad de código abierto
OpenVAS/Greenbone: El escáner de vulnerabilidades de código abierto
OpenVAS es el escáner de vulnerabilidades de código abierto en el corazón de la suite Greenbone: escaneo a nivel de red de servicios en vivo a través de una fuente de decenas de miles de pruebas de vulnerabilidad, con sondas autenticadas (SSH, SMB) que llegan más profundamente que lo que puede alcanzar un escaneo de puertos. Es la respuesta gratuita al escaneo comercial de clase Nessus y su disciplina radica en la programación de escaneos y la revisión de falsos positivos.
Puntos clave
- La arquitectura es administrador-escáner-alimentación: la pila GVM (gvmd, openvas scanner, redis, GSA web UI) se ejecuta como un dispositivo o implementación de Docker; el feed (Greenbone Community Feed) sincroniza continuamente las pruebas de vulnerabilidad de la red, y mantener la sincronización saludable del feed es el primer hábito operativo, ya que un feed obsoleto escanea silenciosamente el mundo del año pasado.
- Los tipos de escaneo tienen diferencias semánticas reales: los escaneos no autenticados sondean los servicios desde afuera (lo que ve un atacante), mientras que los escaneos con credenciales (con credenciales SSH/SMB) enumeran las versiones de software instaladas y la configuración local, que es el modo que realmente responde a la pregunta de parcheo; planificar ambos horarios.
- Los resultados son un proyecto, no un informe: los falsos positivos y los hallazgos duplicados son estándar, por lo que la calificación (mínimo de gravedad, explotabilidad, propietario de la remediación), el manejo de excepciones y una carpeta de vigilancia para la verificación de nuevas pruebas convierten los resultados en tickets procesables; un escaneo semanal sin sintonizar se convierte en ruido que nadie lee.
- Programación de formas de rendimiento/dimensión: descubrimiento de host antes de escaneos profundos, límites de concurrencia y ventanas de escaneo que evitan la crisis de respaldo nocturna; una propiedad de 500 hosts quiere escáneres distribuidos (sensores/dispositivos GVM) con el administrador centralizando los resultados, no una sola caja trabajando durante un ciclo de un mes.
- El ajuste de cumplimiento es real: la salida de OpenVAS se asigna a los requisitos de clase PCI-DSS 11.3, cobertura de referencia CIS a través de comprobaciones de clase SCA y documentación de evidencia que los auditores aceptan; muchos equipos combinan los hallazgos sin procesar de OpenVAS con comprobaciones de agentes de clase Wazuh SCA (nuestro artículo dedicado) para que los escáneres y los agentes realicen una confirmación cruzada.
- Dónde se encuentra en nuestro conjunto de herramientas de seguridad: OpenVAS responde 'qué es vulnerable en mi propiedad' (complementando a Trivy para artefactos y Falco para el comportamiento en tiempo de ejecución); entre las opciones de código abierto, es la alternativa más completa a Nessus, con la honesta advertencia de que la configuración y la gestión de feeds consumen tiempo de operaciones real en la entrada.
Nota de campo
Un escaneo con credenciales de OpenVAS en un estado de cliente 'parcheado' encontró que a 14 hosts les faltaban las actualizaciones del último trimestre debido a una congelación de cambios que nadie levantó. Los escaneos no autenticados parecían limpios durante todo el año. Las credenciales son la diferencia entre una auditoría y un ritual de comodidad.
Preguntas frecuentes
¿OpenVAS o Nessus para el trabajo profesional?
OpenVAS para estados presupuestarios y auditorías internas donde la postura de código abierto es importante; La velocidad/madurez del complemento de Nessus y el soporte comercial son importantes para las empresas de pentesting orientadas al cliente; Muchos equipos ejecutan ambos, ya que OpenVAS captura muchas de las mismas firmas.
¿Por qué los escaneos acreditados son mejores día y noche?
Porque el software instalado (no solo los servicios de escucha) genera la mayor superficie de vulnerabilidad; con las credenciales, el escáner enumera las versiones de los paquetes y la configuración local directamente en lugar de inferir los banners, lo que elimina los falsos positivos y aumenta los hallazgos reales.
¿Con qué frecuencia debemos escanear?
Escaneos acreditados semanales a mensuales por clase de activo dependiendo de la velocidad del cambio, además de escaneos ad hoc después de cambios importantes; un escaneo programado no autenticado agrega evidencia del perímetro exterior, pero la verdadera cuestión del parche es la cobertura acreditada.
¿Cuál es la lista de verificación de configuración de la primera semana?
Un dispositivo/pila implementado, sincronización de feeds confirmada en buen estado, escaneo de descubrimiento del alcance CB (qué activos existen realmente), un primer escaneo con credenciales contra un pequeño conjunto de hosts, luego informe de ajuste (mínimos de gravedad y política de excepción) antes de escalar el alcance.
Cómo ayuda Kinetikatech con herramientas de seguridad de código abierto
Esto lo hemos resuelto cientos de veces: Los profesionales de la caja de herramientas de prueba en realidad se mantienen cargados: escáneres, rastreadores, crackers y servidores proxy web explicaron la forma en que se utilizan en interacciones reales: comandos, indicadores, resultados y dónde se ubica cada uno en una metodología. Con Pruebas de penetración y Seguridad de servidores Linux, obtiene el ciclo completo: evaluamos, implementamos, vigilamos las 24 horas y respondemos en 30 minutos cuando importa.